ENS vs ISO 27001: Diferencias y Cuándo Necesitas Ambas

El ENS es obligatorio para el sector público español; ISO 27001 es voluntaria e internacional. Comparten el 70% de controles y pueden integrarse.

Muchas organizaciones se enfrentan a una duda legítima: ¿necesito el ENS, la ISO 27001 o ambas? La respuesta depende de su contexto, pero anticipamos que cada vez más empresas que trabajan con el sector público necesitan las dos. Esta guía compara ambos marcos en profundidad para que pueda tomar la decisión correcta y, si necesita ambos, aprovechar las sinergias para reducir costes y plazos.

Antes de entrar en la comparación, conviene tener a mano el detalle de cada marco por separado: lo desarrollo en la guía completa del Esquema Nacional de Seguridad y en la guía completa de la ISO 27001.

Origen y naturaleza de cada marco

El ENS es un marco regulatorio español con fuerza de ley. Está regulado por el el RD 311/2022 y su cumplimiento es obligatorio para el sector público y sus proveedores tecnológicos. Su alcance es exclusivamente nacional.

La ISO 27001 es un estándar internacional voluntario publicado por ISO/IEC. Proporciona un marco para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Su adopción es voluntaria (salvo cuando se exige contractualmente) y tiene reconocimiento global.

Alcance y ámbito de aplicación

El ENS se aplica exclusivamente a los sistemas de información del sector público español y de sus proveedores. El alcance viene determinado por la categoría del sistema y no puede limitarse arbitrariamente.

La ISO 27001 permite a la organización definir libremente el alcance de su SGSI. Una empresa puede certificar un departamento, un servicio específico o toda la organización. Esta flexibilidad es una ventaja para quienes buscan una certificación progresiva, pero también un riesgo si el alcance se define de forma demasiado estrecha.

Estructura de controles: comparación detallada

El ENS establece 73 controles organizados en tres marcos (organizativo, operacional y medidas de protección). Los controles son específicos, prescriptivos y con niveles de aplicabilidad definidos por categoría. No hay margen para excluir controles aplicables a su categoría.

La ISO 27001:2022 define 93 controles en su Anexo A, organizados en cuatro temas (organizativos, de personas, físicos y tecnológicos). La Declaración de Aplicabilidad permite excluir controles con justificación, lo que otorga mayor flexibilidad.

Mapeo de controles entre ambos marcos

Existe un solapamiento significativo entre los controles de ambos marcos. Se maneja la cifra de que en torno al 70 % de los controles del ENS tienen equivalente directo o parcial en el Anexo A de ISO 27001, útil como estimación de planificación. Conviene tomarla como tal: la guía CCN-STIC 825, que es la referencia del CCN para esta correspondencia, advierte de que la compatibilidad no debe interpretarse como una relación aritmética de equivalencia. Esto significa que una organización que ya cumple con ISO 27001 tiene una base muy sólida para abordar el ENS, y viceversa.

Las principales diferencias se encuentran en los controles específicos del ENS que no tienen equivalente en ISO 27001, como los relacionados con el uso de productos cualificados del catálogo CPSTIC del CCN, los requisitos específicos de interconexión entre administraciones y las exigencias de categorización formal por dimensiones DICAT.

Análisis de riesgos: enfoques diferentes

El ENS referencia explícitamente a MAGERIT como metodología y a PILAR como herramienta, aunque no las impone como únicas opciones. El análisis debe cubrir las cinco dimensiones DICAT y utilizar los catálogos de activos y amenazas de MAGERIT.

La ISO 27001 no prescribe ninguna metodología concreta. La organización puede usar cualquier enfoque sistemático que identifique riesgos, evalúe su probabilidad e impacto, y determine el tratamiento adecuado. Esto permite usar ISO 31000, OCTAVE, NIST o cualquier otra metodología reconocida.

Proceso de certificación: similitudes y diferencias

Ambas certificaciones requieren auditoría externa por entidad acreditada. Para el ENS, ENAC acredita a la entidad conforme a UNE-EN ISO/IEC 17065 (certificación de productos, procesos y servicios), que es lo que exige la Instrucción Técnica de Seguridad de conformidad. Para ISO 27001, la acreditación va por UNE-EN ISO/IEC 17021-1, la norma de los organismos que certifican sistemas de gestión. No es el mismo esquema, y por eso una entidad puede estar acreditada para uno y no para el otro. En muchos casos, las mismas entidades (AENOR, Bureau Veritas, BSI, SGS) están acreditadas para ambos esquemas.

El ciclo de certificación del ENS es bienal: el artículo 31 exige una auditoría regular ordinaria al menos cada dos años, más una extraordinaria ante modificaciones sustanciales del sistema. El de ISO 27001 es trienal (3 años con seguimientos anuales). Si se gestionan de forma coordinada, las auditorías pueden programarse para minimizar la carga sobre la organización.

¿Cuándo necesita solo el ENS?

Necesita exclusivamente el ENS si su organización es un organismo público sin proyección internacional, o si es un proveedor tecnológico cuyo único requisito contractual es el cumplimiento del ENS. En estos casos, la ISO 27001 no aporta un valor adicional que justifique la inversión.

¿Cuándo necesita solo la ISO 27001?

La ISO 27001 es suficiente si su empresa opera exclusivamente en el sector privado, no trabaja con la Administración Pública española y necesita un marco de seguridad reconocido internacionalmente.

¿Cuándo necesita ambas?

Cada vez más organizaciones necesitan ambas certificaciones. Este escenario se da cuando su empresa es un proveedor tecnológico de la Administración que también opera en el sector privado nacional e internacional, cuando sus clientes públicos exigen el ENS y sus clientes privados exigen la ISO 27001, cuando busca el máximo reconocimiento en seguridad de la información tanto a nivel nacional como internacional, o cuando quiere aprovechar el cumplimiento del ENS para obtener también la ISO 27001 con un coste incremental reducido.

Sinergias y ahorro en implantación conjunta

La implantación simultánea de ENS e ISO 27001 puede generar ahorros del 30-40% respecto a abordarlos por separado. Las áreas de sinergia más significativas son el sistema de gestión de seguridad (común a ambos), la política de seguridad (un solo documento que cumpla ambos requisitos), el análisis de riesgos (MAGERIT satisface ambos marcos), la documentación operativa (procedimientos compartidos), la formación y concienciación del personal, y las auditorías (que pueden realizarse de forma integrada).

Decidir el orden de esa implantación conjunta —qué marco se aborda primero, qué documentación se comparte y cómo se coordinan las auditorías— es justo el trabajo que hago en la consultoría de implantación del ENS.

La diferencia que decide el orden: son dos acreditaciones distintas

El punto que casi nadie explica es que certificar el ENS y certificar la ISO 27001 no son el mismo tipo de acto administrativo, y por eso la entidad que le vale para uno puede no valerle para el otro.

La Instrucción Técnica de Seguridad de conformidad con el ENS exige que las entidades certificadoras estén acreditadas por ENAC conforme a la norma UNE-EN ISO/IEC 17065, que es el esquema de acreditación de la certificación de productos, procesos y servicios. La ISO 27001, en cambio, se certifica bajo UNE-EN ISO/IEC 17021-1, el esquema propio de los sistemas de gestión. Son dos alcances de acreditación separados, con dos expedientes distintos en ENAC.

La consecuencia práctica es directa: que una certificadora lleve veinte años emitiendo certificados ISO 27001 no dice nada sobre si puede emitirle un certificado de conformidad con el ENS. Antes de firmar, compruebe el alcance concreto en el buscador de entidades acreditadas de ENAC, no en la web comercial de la certificadora. Es el mismo control que detallo en la pieza sobre cómo elegir certificadora del ENS entre las entidades acreditadas.

Un matiz de rigor: esa Instrucción Técnica se aprobó en 2016 al amparo del Real Decreto 3/2010, hoy derogado. El artículo 38 del ENS vigente remite a «la correspondiente Instrucción Técnica de Seguridad» sin que conste publicada una sustituta, y el BOE tampoco muestra derogada la de 2016. Se sigue trabajando con ella, pero es de las referencias que conviene volver a mirar antes de cada contratación.

Regla de decisión: manda la fecha del contrato, no la afinidad con la norma

El orden correcto no se deduce de cuál de los dos marcos le parece más razonable, sino de qué tiene fecha.

Empiece por el ENS si hay una licitación que lo exige en el pliego, si ya presta servicio a un organismo público o si su sistema es de categoría MEDIA o ALTA. La razón no es doctrinal: el ENS lleva plazo pegado. El artículo 38 del Real Decreto 311/2022 obliga a que los sistemas MEDIA o ALTA pasen «una auditoría para la certificación de su conformidad», mientras que los de categoría BÁSICA «solo requerirán de una autoevaluación para su declaración de la conformidad». Y el artículo 31 fija auditoría regular ordinaria al menos cada dos años. Ese reloj corre lo pida usted o no. Si aún no ha fijado su categoría, empiece por ahí: la elección entre BÁSICA, MEDIA y ALTA condiciona todo lo que viene detrás.

Empiece por la ISO 27001 si su motivo es comercial y no contractual: entrar en un cliente internacional, responder cuestionarios de proveedores, sostener una ronda. Aquí no hay plazo legal, hay ventana de venta, y la norma le deja certificar solo la parte del negocio que le interesa enseñar.

Si tiene las dos presiones a la vez, el ENS va primero. Es el marco prescriptivo: fija categoría, dimensiones y medidas sin margen de exclusión, mientras que la ISO 27001 permite justificar exclusiones en la Declaración de Aplicabilidad. Construir primero lo rígido y encajarlo después en lo flexible funciona; al revés obliga a rehacer el análisis de riesgos y buena parte de la documentación operativa. Si duda de en qué escenario está, el comparador ENS o ISO 27001 da una primera lectura en dos minutos.

Qué se reaprovecha de verdad: la guía CCN-STIC 825 y por qué el «70 %» no es una resta

El puente entre los dos marcos no hay que inventarlo. El Centro Criptológico Nacional publica la guía CCN-STIC 825, dedicada a la relación entre el Esquema Nacional de Seguridad y la certificación ISO 27001, y actualizada para trabajar con las versiones de 2022 de la ISO 27001 y la ISO 27002. Funciona en los dos sentidos: sirve tanto a quien parte del ENS y quiere apoyar en él una certificación ISO 27001 como a quien ya tiene un sistema de gestión certificado y quiere validar su conformidad con el Real Decreto 311/2022.

Ahora, la advertencia que la propia guía incorpora y que conviene leer despacio: la compatibilidad entre ambos marcos no debe entenderse como una relación aritmética de equivalencia, sino a partir de un análisis general del contenido de las dos normas.

Traducido a la práctica: el solapamiento del que habla el apartado anterior sirve para dimensionar el proyecto, no como descuento aplicable a la factura de la auditoría. Ningún auditor del ENS da por cumplida una medida porque exista un control del Anexo A que se le parece. Se reaprovechan evidencias y trabajo previo —política de seguridad, inventario de activos, procedimientos operativos, registros de formación y de incidentes—, no conclusiones.

Por eso conviene tener clara la diferencia entre la ISO 27001 y la ISO 27002 antes de mapear nada: la 825 se apoya en el catálogo de la 27002 para explicar qué añadir a cada medida, y quien confunde los dos documentos acaba mapeando contra el texto equivocado.

Lo que no viaja de un marco al otro

Cuatro bloques del ENS no tienen a quién parecerse en la ISO 27001, y son justo los que se olvidan al planificar:

• La categorización formal por dimensiones. El ENS obliga a categorizar el sistema valorando las dimensiones de seguridad, y de ahí salen las medidas exigibles. No es un análisis de riesgos cualquiera: es un acto formal con consecuencias sobre el resto del expediente.
• Los productos cualificados. Determinadas medidas del ENS remiten al catálogo CPSTIC del CCN. Si su arquitectura usa producto no cualificado donde se exige que lo sea, ninguna certificación ISO le tapa ese hueco.
• La notificación de incidentes. El artículo 33 del Real Decreto 311/2022 articula la capacidad de respuesta a través del CCN-CERT y obliga a las entidades públicas a notificar al CCN los incidentes con impacto significativo, y a las organizaciones privadas prestadoras de servicios a notificar al INCIBE-CERT. Es una obligación de reporte a un tercero, no un procedimiento interno.
• La publicidad de la conformidad. El propio artículo 38 obliga a dar publicidad a las declaraciones y certificaciones de conformidad en los portales de internet o sedes electrónicas. Un certificado ISO 27001 vive en un PDF comercial; la conformidad con el ENS se enseña.

Hay un quinto elemento que juega a favor y casi nadie usa: el artículo 30 del ENS prevé perfiles de cumplimiento específicos, validados y publicados por el CCN, que ajustan las medidas idóneas a categorías concretas. Si existe un perfil para su tipo de entidad, mirarlo antes de arrancar puede ahorrarle meses. Todo esto está desarrollado en la guía completa del Esquema Nacional de Seguridad y en el resto del área de cumplimiento del ENS.

Cuatro errores de secuencia que cuestan dinero

1. Certificar la ISO 27001 con un alcance más estrecho que el sistema que presta el servicio público. Es legítimo en la ISO y le deja fuera del ENS. Cuando llega el pliego, el certificado no cubre lo que hay que cubrir y ampliar alcance es, en la práctica, un proyecto nuevo.
2. Planificar las dos auditorías sin mirar los ciclos. El ENS se audita al menos cada dos años; la ISO 27001 tiene el suyo con seguimientos. Si las fechas se cruzan mal, el equipo pasa por dos auditorías completas en meses consecutivos.
3. Confundir autoevaluación con auditoría en categoría BÁSICA. El artículo 38 admite la autoevaluación en BÁSICA, pero solo mientras la categoría siga siendo BÁSICA. Un cambio en el servicio que la suba deja esa autoevaluación insuficiente sin previo aviso.
4. Dar por hecho que la certificadora sirve para ambos. Vuelva al primer apartado: 17065 y 17021-1 son acreditaciones distintas, y se comprueban en ENAC antes de firmar.

Un apunte de calendario para quien planifique 2027: la transición a la ISO 27001:2022 ya está cerrada —los certificados emitidos bajo la versión de 2013 dejaron de tener validez el 31 de octubre de 2025—, así que cualquier proyecto nuevo parte de la versión de 2022, como recojo en la guía completa de la ISO 27001. Lo que sí conviene vigilar es la ley española que transpone la directiva NIS2, todavía en tramitación y sin publicar en el BOE: hasta que aparezca, nada de lo anterior cambia.

Tabla resumen comparativa

En origen, el ENS es regulación nacional obligatoria y la ISO 27001 es estándar internacional voluntario. En alcance, el ENS cubre el sector público y proveedores mientras la ISO permite alcance definido por la organización. En controles, el ENS tiene 73 y la ISO tiene 93. En análisis de riesgos, el ENS referencia MAGERIT y la ISO es libre. En certificación, el ENS tiene ciclo bienal y la ISO trienal. En reconocimiento, el ENS es nacional y la ISO es global.

¿ENS, ISO 27001 o ambas? Si no tiene claro en cuál de los tres escenarios encaja su organización, escríbame y lo vemos. Cuénteme a qué clientes sirve y qué le exigen sus contratos, y le diré qué marco le corresponde, por cuál le conviene empezar y qué parte del trabajo puede reaprovechar para el otro.

Si tras ver las diferencias sigue sin saber cuál le toca a usted, puedo decidirlo con su caso delante: así trabajo la consultoría ENS, y aquí tiene el área de normas ISO.

Preguntas frecuentes

¿Tener la ISO 27001 me exime de auditar el ENS?

No. Sirve como base de trabajo y como evidencia en muchas medidas, pero la conformidad con el ENS se acredita por su propio procedimiento: autoevaluación en categoría BÁSICA y auditoría de certificación en MEDIA o ALTA, según el artículo 38 del Real Decreto 311/2022.

¿Puede certificarme el ENS la misma entidad que me certificó la ISO 27001?

Solo si tiene también acreditación de ENAC en el esquema del ENS, que se otorga conforme a UNE-EN ISO/IEC 17065, mientras que la de ISO 27001 va bajo UNE-EN ISO/IEC 17021-1. Muchas grandes certificadoras tienen las dos; no todas. Compruebe el alcance en ENAC.

¿Cada cuánto hay que volver a auditar el ENS?

El artículo 31 del Real Decreto 311/2022 fija una auditoría regular ordinaria al menos cada dos años, más una auditoría extraordinaria cuando se produzcan modificaciones sustanciales en los sistemas de información que puedan repercutir en las medidas de seguridad requeridas.

Si empiezo por el ENS, ¿cuánto trabajo me sirve para la ISO 27001?

El sistema de gestión, la política, el análisis de riesgos, los procedimientos operativos y los registros de formación e incidentes se reaprovechan. Lo que no se reaprovecha es el dictamen: la guía CCN-STIC 825 advierte de que la compatibilidad entre marcos no es una equivalencia aritmética, y cada auditor evalúa contra su propio referencial.

Fuentes

• BOE · Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad (texto consolidado; artículos 30, 31, 33 y 38).
• BOE · Resolución de 13 de octubre de 2016, de la Secretaría de Estado de Administraciones Públicas, por la que se aprueba la Instrucción Técnica de Seguridad de conformidad con el Esquema Nacional de Seguridad (BOE-A-2016-10109).
• CCN-CERT · Guía CCN-STIC 825, Esquema Nacional de Seguridad y certificación ISO 27001.
• ENAC · Esquemas de acreditación de entidades de certificación y buscador de entidades acreditadas.

En el contexto regulatorio europeo, también es relevante el Reglamento de Inteligencia Artificial (AI Act), cuya primera fase de obligaciones aplica en agosto de 2026 y que tiene solapamientos importantes con el ENS para proveedores tecnológicos de la Administración Pública.